Sporto klubo lankytojų biometrinius duomenis netinkamai tvarkiusiai bendrovei skirta bauda

Pernai gruodžio 22 dienos sprendimu bendrovei „Praktiškas“, valdančiai sporto klubus „SportGates“, už Bendrojo duomenų apsaugos reglamento (BDAR) pažeidimus skirta 6 tūkst. eurų bauda. 

Spręsdama dėl administracinės baudos skyrimo bei baudos dydžio inspekcija atsižvelgė į tai, kad bendrovė tvarko specialių kategorijų asmens duomenis ir tai, kad pažeidimas – tęstinis bei sisteminis, tai yra, nesusijęs su pavieniu asmeniu.

Bendrovei bauda skirta už klientų biometrinių duomenų tvarkymą, neturint jų savanoriško sutikimo ir už klientų teisės būti informuotiems apie duomenų tvarkymą netinkamą įgyvendinimą. Taip pat nustatyta, kad bendrovė, prieš pradėdama tvarkyti biometrinius duomenis, nebuvo atlikusi poveikio duomenų apsaugai vertinimo, netvarkė ir veiklos įrašų.

Anot inspekcijos, buvo gautas fizinio asmens pranešimas, kuriame nurodyta, kad viename sporto klubų nėra suteikiama alternatyvios identifikavimo galimybės. Asmeniui atsisakius duoti sutikimą tvarkyti biometrinius duomenis, jis negalėjo naudotis sporto klubo teikiamomis paslaugomis.

Inspekcija, po šio pranešimo savo iniciatyva atlikusi patikrinimą, nustatė minėtus BDAR pažeidimus.

Pagal BDAR, biometriniai duomenys priskiriami specialių kategorijų asmens duomenims, kuriuos tvarkyti draudžiama, išskyrus numatytas išimtis.

Tuo metu VDAI nustatė, kad klientų duodamas sutikimas tvarkyti jų biometrinius duomenis nebuvo savanoriškas, nes vienintelis būdas patekti į sporto klubą registruojantis savitarnos terminale buvo naudojant biometrinius duomenis.

Nustatyta, kad taip pat nebuvo ir informacijos, kokios galimos kitos patekimo į sporto klubą alternatyvos, kuriomis klientas galėtų pasinaudoti.

Inspekcija pabrėžia, kad jei klientai neturi laisvo pasirinkimo, toks sutikimas nėra laikomas duotu laisva valia, o duomenų tvarkymas tokiu atveju laikomas neteisėtu.

Nors bendrovė argumentavo, kad išreiškus norą pateikimui į sporto klubą išduodama įeigos kortelė, VDAI teigimu, duomenų subjektams privaloma aiškiai pateikti informaciją apie kitas alternatyvas biometrinių duomenų tvarkymui.

Atliekant sporto klubo patikrinimą vietoje dėl biometrinių duomenų tvarkymo, buvo nustatyta, kad registruojantis savitarnos terminale kaip naujam klientui privaloma sutikti su naudojimosi sporto klubu taisyklėmis, o informacijos apie privatumo politiką pateikiama nebuvo.

Šis VDAI sprendimas yra neįsiteisėjęs ir gali būti skundžiamas teismui.